Article considérant 55

(55) Lorsque certaines exigences essentielles de cybersécurité ne sont pas applicables à un produit comportant des éléments numériques, le fabricant doit faire figurer une justification claire dans l’évaluation des risques de cybersécurité figurant dans la documentation technique. Cela pourrait être le cas lorsqu’une exigence essentielle de cybersécurité est incompatible avec la nature d’un produit comportant des éléments numériques. Par exemple, la destination d’un produit comportant des éléments numériques peut exiger du fabricant qu’il respecte des normes d’interopérabilité largement reconnues, même si ses dispositifs de sécurité ne sont plus considérés comme étant à la pointe de la technologie. De même, d’autres législations de l’Union exigent des fabricants qu’ils appliquent des exigences spécifiques en matière d’interopérabilité. Lorsqu’une exigence essentielle de cybersécurité ne s’applique pas à un produit comportant des éléments numériques, mais que le fabricant a détecté des risques de cybersécurité en rapport avec ladite exigence essentielle de cybersécurité, il doit prendre des mesures pour faire face à ces risques par d’autres moyens, par exemple en limitant la destination du produit à des environnements de confiance ou en informant les utilisateurs de ces risques.